Teknik serangan

Phishing

Phishing adalah serangan rekayasa sosial ketika pelaku menyamar sebagai pengirim tepercaya untuk menipu korban agar membocorkan kredensial, mengirim uang, atau memasang malware.

Definisi

Phishing adalah salah satu bentuk rekayasa sosial ketika pelaku menyamar sebagai organisasi atau individu yang sah, umumnya melalui email tetapi juga lewat SMS, panggilan suara, pesan instan, atau kode QR, untuk mengelabui korban agar melakukan tindakan yang merugikan. Tindakan itu biasanya berupa membocorkan kredensial login, memasukkan data pembayaran atau data pribadi di halaman palsu, menyetujui transaksi penipuan, atau membuka tautan maupun lampiran yang memasang malware. Phishing mengeksploitasi rasa percaya dan rasa terdesak manusia, bukan celah teknis, sehingga menjadi salah satu titik masuk paling umum untuk kebocoran data dan penipuan finansial.

Serangan phishing umumnya mengikuti pola yang dapat diprediksi. Pelaku menyusun pesan yang meniru merek terkenal atau pengirim internal, sering kali bank, sistem penggajian, lembaga pemerintah, atau helpdesk TI. Pesan itu menciptakan tekanan lewat rasa terdesak, rasa takut, atau rasa penasaran, misalnya peringatan bahwa akun akan diblokir, tagihan yang tidak terduga, atau paket yang perlu dikonfirmasi. Pesan lalu mengarahkan korban ke tautan berbahaya, halaman pencuri kredensial, atau lampiran. Begitu korban memasukkan datanya atau menjalankan berkas tersebut, pelaku menangkap kredensial atau mendapatkan pijakan di dalam jaringan.

Phishing hadir dalam beberapa varian yang dibedakan oleh kanal dan sasarannya. Spear-phishing menyasar orang tertentu dengan detail yang dipersonalisasi, sedangkan whaling membidik pejabat senior. Vishing memakai panggilan telepon, smishing memakai SMS, dan quishing memakai kode QR. Clone-phishing menyalin ulang pesan asli dengan tautan berbahaya yang ditukar. Business email compromise menyamar sebagai pimpinan atau pemasok untuk menyetujui pembayaran palsu. Meski kanalnya berbeda, teknik dasarnya sama: menyalahgunakan rasa percaya untuk memancing tindakan yang tidak aman.

Phishing penting diperhatikan karena menjadi jalur utama masuk ke sebagian besar organisasi. Satu karyawan yang mengeklik tautan dan memasukkan kata sandi dapat membuka seluruh jaringan, dan di sektor yang diatur ketat seperti perbankan serta pemerintahan, dampaknya mencakup kerugian finansial, sanksi regulasi, dan kerusakan reputasi. Karena pelaku terus menyempurnakan umpannya, filter teknis saja tidak akan pernah cukup. Pertahanan yang tahan lama bertumpu pada keamanan email berlapis, autentikasi multifaktor, dan tenaga kerja yang terlatih mengenali serta melaporkan pesan mencurigakan.

Sekilas info

Tingkat keparahan: Tinggi
Tingkat kejadian: Sangat umum
Target utama: Karyawan di semua level, lewat email dan kanal pesan lainnya

Cara kerjanya

1
Penyamaran: pelaku menyusun pesan yang meniru merek atau pengirim internal yang dikenal, misalnya bank, sistem penggajian, atau helpdesk TI.
2
Tekanan: pesan menciptakan rasa mendesak, takut, atau penasaran, misalnya peringatan bahwa akun akan diblokir atau tagihan yang tidak terduga.
3
Tindakan berbahaya: pesan mengarahkan korban ke halaman login palsu, tautan berbahaya, atau lampiran yang terinfeksi.
4
Penangkapan: begitu korban memasukkan datanya atau membuka berkas tersebut, pelaku menangkap kredensial atau mendapatkan pijakan di jaringan.
5
Eksploitasi: akses yang dicuri dipakai untuk penipuan, pencurian data, atau sebagai batu loncatan bagi serangan lanjutan seperti business email compromise.

Tanda peringatan

Bahasa yang mendesak atau mengancam yang menuntut tindakan segera
Alamat pengirim yang hampir benar tetapi sedikit berbeda
Sapaan generik, bukan nama Anda yang sebenarnya
Lampiran tak terduga atau tautan yang tidak sesuai dengan pengirim yang mengaku
Permintaan untuk mengonfirmasi kata sandi, OTP, atau detail pembayaran lewat email

Cara bertahan

Berhenti sejenak sebelum mengeklik; verifikasi permintaan mendesak lewat saluran terpisah
Periksa alamat email pengirim yang sebenarnya, bukan hanya nama tampilannya
Arahkan kursor ke tautan untuk melihat tujuannya sebelum mengeklik
Aktifkan autentikasi multifaktor yang tahan phishing
Laporkan pesan mencurigakan, jangan hanya menghapusnya diam-diam

Contoh nyata

Seorang karyawan bank di Jakarta menerima email yang mengaku dari helpdesk TI, memperingatkan bahwa akun Microsoft 365-nya akan diblokir dalam 24 jam jika tidak segera memverifikasi kata sandinya. Tautan tersebut membuka halaman login palsu yang meyakinkan, dihosting di domain yang mirip aslinya. Karena percaya pada peringatan itu, karyawan tersebut memasukkan kredensialnya tanpa sadar menyerahkannya kepada penyerang.

Bagaimana Claro membantu

Claro membantu organisasi mengukur dan menurunkan risiko phishing dengan menjalankan simulasi phishing yang realistis dan relevan secara lokal, lalu memasangkan setiap hasil dengan pelatihan tepat waktu dalam bahasa Inggris dan bahasa Indonesia. Alih-alih hanya melacak penyelesaian pelatihan, Claro menilai perilaku nyata dari simulasi, tingkat pelaporan, dan tren karyawan yang berulang kali mengeklik, lalu memasukkannya ke dalam skor risiko manusia serta bukti kepatuhan yang selaras dengan OJK, ISO 27001, dan ketentuan pelindungan data pribadi di Indonesia. Tujuannya adalah perubahan perilaku yang bertahan: orang yang mampu mengenali dan melaporkan phishing, bukan sekadar karyawan yang lulus kursus.

Pertanyaan yang sering diajukan

Apa itu Phishing?

Phishing adalah serangan siber di mana pelaku menyamar sebagai orang atau organisasi tepercaya untuk menjebak Anda membocorkan informasi sensitif, seperti kata sandi atau kode OTP, atau mengklik tautan berbahaya. Umumnya datang melalui email, tetapi juga lewat SMS, chat, dan telepon.

Apa perbedaan antara phishing dan spear phishing?

Phishing dikirim secara luas ke banyak penerima dengan umpan generik, sedangkan spear phishing dipersonalisasi dan menyasar orang atau organisasi tertentu menggunakan detail hasil riset. Spear phishing memiliki volume lebih rendah tetapi tingkat keberhasilan jauh lebih tinggi karena pesannya terasa relevan.

Bagaimana cara mengetahui apakah sebuah email adalah phishing?

Perhatikan rasa mendesak atau ancaman, alamat pengirim yang tidak sepenuhnya cocok dengan organisasi yang mengaku, sapaan generik, lampiran atau tautan tak terduga, serta permintaan kredensial atau detail pembayaran. Jika ragu, verifikasi lewat saluran yang sudah dikenal alih-alih membalas pesan tersebut.

Apakah filter spam menghentikan phishing?

Filter spam menangkap sebagian besar phishing tetapi tidak semuanya, terutama domain mirip yang baru didaftarkan atau disusun dengan cermat. Karena pelaku terus beradaptasi, pertahanan berlapis seperti autentikasi multifaktor dan karyawan yang terlatih serta waspada tetap penting selain filter teknis.

Apa yang harus dilakukan jika saya mengeklik tautan phishing?

Jangan memasukkan informasi apa pun di halaman tersebut, putuskan koneksi jaringan jika memakai perangkat kerja, ganti kata sandi mana pun yang mungkin terekspos, dan segera laporkan insiden ini ke tim keamanan agar mereka bisa menilai dan membatasi kerusakan.

Istilah terkait

Spear Phishing

Serangan phishing yang menyasar individu atau organisasi tertentu dengan memanfaatkan detail pribadi yang dipersonalisasi agar pesan penipuan terlihat jauh lebih meyakinkan.

Rekayasa Sosial

Manipulasi terhadap manusia agar membocorkan informasi sensitif atau melakukan tindakan berisiko dengan memanfaatkan kepercayaan, emosi, dan psikologi, bukan kelemahan teknis.

Pencurian Kredensial

Pencurian kredensial adalah pengambilan nama pengguna, kata sandi, dan data login lainnya, biasanya lewat halaman login palsu atau pesan yang mengelabui, agar penyerang bisa masuk ke akun dan sistem.

Simulasi Phishing

Latihan terkontrol dan resmi yang mengirim pesan phishing palsu yang realistis namun tidak berbahaya kepada karyawan untuk mengukur respons mereka dan melatih perilaku yang lebih aman.

Kurangi risiko manusia Anda

Claro mengukur dan menurunkan risiko yang dijelaskan istilah-istilah ini, dalam bahasa Inggris dan Bahasa Indonesia.

Minta demo